用途：为 AWS 资源建立持续合规监控，检测配置漂移并自动修复，适用于审计需要持续合规证据、跨多账户构建合规看板的场景。不适用于实时威胁检测（用 GuardDuty）、应用漏洞扫描（用 Inspector）或一次性合规评估（用 Prowler）。
主要能力：启用 AWS Config 记录与交付通道；部署映射 CIS 的托管规则（如 S3 公开读禁止、服务端加密、SSL 请求、IAM 根访问密钥、MFA、密码策略、限制 SSH、VPC 流日志、RDS 存储加密、EBS 加密等）；用 Lambda 编写自定义规则（示例为检查 EC2 必需标签）；通过 SSM Automation 文档配置自动修复（如禁用 S3 公开读写、启用 EBS 默认加密、限制安全组公网访问）；用配置聚合器汇总多账户多区域合规数据并查询。
使用方式：前置条件包括目标账户与区域启用 Config 记录、具备 config:、ssm:、lambda:* 权限的 IAM 角色、AWS Organizations 委派管理员、S3 交付桶与 SNS 通知、CloudFormation StackSets 或 Terraform 做多账户部署。核心命令如 aws configservice put-configuration-recorder、put-config-rule、put-remediation-configurations、put-configuration-aggregator，以及 get-aggregate-compliance-details-by-config-rule 查询不合规资源。
限制：Config 按记录的配置项计费，资源多时成本显著，可用定向记录组聚焦合规相关资源类型；对安全组等网络规则的自动修复可能中断应用。资料未提供具体价格、平台版本或效果数据。